Przywracanie GPO (Group Policy Object)
Scenariusz z życia
Administrator zmienia politykę haseł albo mapowania dysków… i nagle: połowa firmy nie może się zalogować, drukarki znikają, blokada pulpitu nie działa.
Nie wiesz co dokładnie zmieniono, więc jedyną bezpieczną opcją jest: ➡️ cofnąć GPO do poprzedniej wersji.
Jak działa GPO „od środka”
Każda polityka istnieje w dwóch miejscach:
| Element | Gdzie | Co zawiera |
|---|---|---|
| AD (GPC) | Active Directory | ustawienia logiczne |
| SYSVOL (GPT) | \domain\SYSVOL | pliki i skrypty |
Dlatego uszkodzenie może być: logiczne (AD), plikowe (SYSVOL), replikacyjne (DC niespójne).
Najważniejsze polecenie admina
Najpierw sprawdzasz czy to naprawdę GPO. Zwykle na kliencie: gpresult /r. Pełny raport: gpresult /h c:\gpo.html.
Jeśli polityki brak → nie przywracasz. Jeśli jest ale działa źle → przywracasz.
Cofnięcie zmian (Version History — najszybsze)
GPMC → Group Policy Management → GPO → History / Backup. Jeśli masz backup — przywracasz w 10 sekund.
GUI: 1) GPMC, 2) Obiekt GPO, 3) Manage Backups, 4) Restore.
To przywraca: ustawienia, skrypty, ACL, wersję.
Przywracanie z kopii domeny (najczęstsze w firmie)
Backup wszystkich GPO — PowerShell (DC): Backup-GPO -All -Path C:\GPOBackup
Przywrócenie konkretnego: Restore-GPO -Name "Mapowanie_dyskow" -Path C:\GPOBackup
Gdy GPO zostało usunięte
Najpierw sprawdź kosz AD: Active Directory Administrative Center → Deleted Objects. Jeśli istnieje → restore. Jeśli nie → tylko z backupu.
Problem: GPO istnieje ale nie działa
To najczęstsza sytuacja w pracy admina. Przyczyna zwykle nie jest w ustawieniach, tylko w: replikacji SYSVOL, błędnym linku OU, filtrowaniu bezpieczeństwa, WMI filter.
Dlatego NIE przywracasz od razu. Najpierw: dcdiag /test:sysvolcheck, repadmin /replsummary.
Kiedy przywracamy GPO
- ✔ po błędnej zmianie
- ✔ po usunięciu
- ✔ po uszkodzeniu SYSVOL
- ✔ po ataku ransomware (częste)
Myślenie administratora
Junior: edytuje dalej aż zadziała. Admin: cofa do działającego stanu → diagnozuje → tworzy nową wersję.
Zapamiętaj — fakty egzaminowe
- GPO przechowywane w AD i SYSVOL
- Można je przywrócić z backupu
- gpresult służy do sprawdzenia zastosowania polityk
- Usunięte GPO można odzyskać z kosza AD
Najczęstszy błąd
Naprawianie zepsutej polityki. W firmie się nie naprawia GPO — w firmie się przywraca działającą wersję.